www.stetspa.it

STET S.p.A. Servizi Territoriali Est Trentino

La sicurezza informatica degli impianti industriali

Case study “STET”

20 novembre 2014

www.stetspa.it

Presentazione della società e del progetto

www.stetspa.it

La società

STET S.p.A. opera sui territori comunali dell’Alta Valsugana in Provincia di Trento ed è attiva nei settori dell'erogazione di servizi pubblici a rete, quali la distribuzione di energia elettrica, gas naturale e la gestione del ciclo idrico.

Si occupa inoltre di gestione di impianti di pubblica illuminazione, di produzione di energia idroelettrica e fotovoltaica ed attraverso la società controllata VALE S.p.A. della produzione di energia termica, teleriscaldamento e teleraffrescamento.

www.stetspa.it

I soci

• Comune di Pergine Valsugana: 74,31%

• Comune di Levico Terme: 18,97%

• Comune di Caldonazzo: 4,63%

• Comune di Tenna: 1,51%

• Comune di Calceranica: 0,02%

• Comune di Sant'Orsola Terme: 0,02%

• Comune di Civezzano: 0,02%

• Comune di Grigno: 0,02%

www.stetspa.it

I numeri

Clienti finali serviti 40.000

Personale dipendente 60 unità

Impianti telegestiti 150

Ricavi annui (gruppo) 13 mln €

Totale investimenti 2 mln €

dati approssimativi su base 2013

www.stetspa.it

L’esigenza

Verificare lo stato dell’arte compiendo una analisi approfondita che evidenziasse le criticità:

• nel modello di gestione organizzativo;

• nell’implementazione logica delle infrastrutture;

• nell’implementazione fisica delle infrastrutture.

www.stetspa.it

La soluzione

Per rispondere alle esigenze di cui sopra, STET ha deciso di investire durante il 2013 su attività di misurazione della sicurezza della propria infrastruttura, svolgendo:

• analisi mirate sulle procedure aziendali e sull’organizzazione societaria tramite la lettura delle documentazioni fornite;

• interviste specifiche ai responsabili;

• simulazioni di attacchi informatici.

www.stetspa.it

I risultati ottenuti

• L’analisi ha evidenziato come STET fosse già sopra gli standard di mercato, evidenziando tuttavia ambiti in cui apportare miglioramenti.

• E’ stato prodotto un report conforme agli standard internazionali che, oltre ad evidenziare lo stato dell’arte, permettesse tramite nuovi metering di evidenziare i delta.

• Sono stati avviati diversi progetti con lo scopo di mettere in pratica i consigli raccolti, ove si è valutato che il rapporto costi/benefici fosse vantaggioso.

www.stetspa.it

La nostra infrastruttura ICT e la progettazione di una

analisi di sicurezza

www.stetspa.it

Infrastruttura ICT

www.stetspa.it

SCADA (1/3)

• Il centro di telecontrollo (CTC) di STET è ubicato presso la sede operativa;

• Gli impianti, dislocati sul territorio nel raggio di 50km, sono interconnessi attraverso diverse tecnologie di comunicazione:

• 3G/GPRS

• DSL

• Ponte Radio

• Fibra ottica

• Tutte le comunicazioni avvengono attraverso VPN, in alcuni casi gestite dai provider TLC.

www.stetspa.it

SCADA (2/3)

www.stetspa.it

SCADA (3/3)

• Le tipologie di impianti gestiti possono essere le seguenti:

• Cabine elettriche di trasformazione

• Sistemi di pompaggio

• Serbatoi per accumulo idrico

• Cabine di regolazione e misura gas naturale

• Centrali ed impianti di produzione

• Sistemi di teleallarme e videosorveglianza

www.stetspa.it

Fasi del progetto

1. Analisi/raccolta informazioni orali/scritte.

2. Verifica di tali informazioni sul campo con stesura della documentazione necessaria per ottenere un "as-is" da cui partire.

3. Vulnerability Assessment al fine di identificare tutte le vulnerabilità/mal configurazioni in essere.

www.stetspa.it

Modalità di verifica

• Sicurezza logica/fisica degli uffici, del CTC e degli impianti sul territorio (perimetro, porte d’accesso, serrature, password di sblocco, ecc.)

• Sicurezza dei sistemi operativi e dei mezzi di comunicazione attraverso test specifici (simulazione di attacchi informatici, controllo versioni dei software/firmware, controllo isolamento zone di rete), sia nel CTC che sugli impianti;

www.stetspa.it

Alcuni esempi di advice, tra punti di “forza” e punti di

“debolezza”

www.stetspa.it

Documentazione (1/2)

Nonostante non sia più obbligatorio per legge si ritiene, soprattutto in situazioni complesse come quella di STET, necessario continuare a redigere un documento che abbia le stesse caratteristiche di quello che il D.Lgs.196/2003 chiamava Documento Programmatico sulla Sicurezza. La sua presenza ed il processo ancora in atto di mantenerlo aggiornato vengono valutati come punto di eccellenza che pone l'azienda al di sopra degli standard di mercato.

www.stetspa.it

Documentazione (2/2)

Nel DPS sono tuttavia state aggiunte maggiori informazioni relative a:

• topologie di rete;

• personale IT e SCADA incaricato;

• procedure di gestione degli ospiti;

• manuali operativi ed informative per gli utenti;

rendendo di fatto tale documento più esaustivo.

La sua revisione è stata anche uniformata a quella del Sistema Qualità ISO 9001.

www.stetspa.it

Assistenza remota (1/2)

Gli accessi da remoto costituivano uno dei rischi operativi più evidenti per l'infrastruttura di STET. La molteplicità di fornitori aveva portato ad avere uno scenario frammentato e fuori dal controllo corretto. Si parla per lo più di accessi via TeamViewer, Condivisioni Desktop ecc…

Questo portava il vantaggio di non avere servizi SCADA direttamente pubblicati su Internet, tuttavia impediva di decidere se e quando un fornitore poteva accedere, ma soprattutto di tenere traccia degli accessi e delle attività eseguite.

www.stetspa.it

Assistenza remota (2/2)

www.stetspa.it

Assistenza remota (3/3)

Le modalità di assistenza remota sono state uniformate tramite una policy aziendale, la quale è stata sottoposta a tutti i fornitori; tale procedura è stata inserita anche nel DPS.

Ad oggi è quindi possibile tracciare gli orari di intervento tramite un unico sistema centralizzato nonché vi è la possibilità di gestire sui sistemi firewall quali tipi di interventi possono essere eseguiti.

www.stetspa.it

Firmware apparati (1/2)

Durante i test sugli impianti è stato riscontrato come la versione software a bordo di apparati PLC sia spesso “solida” nella gestione meccanica ma mano nella parte informatica di networking.

Alcuni test mirati tramite specifici exploit hanno mostrato come un attacco possa portare anche all’isolamento dell’impianto causa blocco del PLC.

www.stetspa.it

Firmware apparati (2/2)

L’unico rimedio sta nel verificare costantemente coi produttori le versioni aggiornate dei firmware, pianificare gli aggiornamenti su infrastrutture di test e quindi applicare i cambiamenti negli ambienti di produzione.

Tale attività è spesso non indolore e subordinata agli sviluppi software; per questo anche la scelta di un vendor PLC con know-how IT diventa vincente.

Ove possibile, anche STET ha testato ed aggiornato nuove versioni di firmware.

www.stetspa.it

Isolamento impianti (1/2)

La suddivisione della rete in diverse zone è uno degli elementi che posiziona la rete di STET al di sopra della media di mercato.

Da tante reti singole, autonome, separate fisicamente si sta migrando ad una unica grande rete dove la sicurezza non viene demandata alla separazione fisica.

Tuttavia alcuni siti, con medesime tipologie di collegamento, erano raggruppati sotto le stesse sottoreti ed erano raggiungibili l’uno dall’altro.

www.stetspa.it

Isolamento impianti (2/2)

A seguito della sostituzione di alcuni apparati di rete ed alla corretta gestione delle regole firewall è stato possibile separare ulteriormente le zone con la logica 1-sito:1-subnet.

Questo permetterà di gestire centralmente le politiche di routing impedendo o permettendo il traffico tra le varie zone.

Ogni sviluppo futuro terrà in considerazione questo modello di gestione.

www.stetspa.it

I risultati nel dettaglio

www.stetspa.it

Rischi individuati

www.stetspa.it

Difformità individuate

www.stetspa.it

Posizione di mercato e desiderata

www.stetspa.it

Remediation matrix (esempio)

Remediation

advice

Security type Gravità

(1-3)

Urgenza

(1-3)

Impatto

economico

(1-3)

Impatto

organizzativo

(1-3)

#1 Organization 1 1 0 1

#2 Organization 3 3 2 2

#3 Logical 2 3 2 2

#4 Physical 3 3 2 1

….

www.stetspa.it

Attack Surface Security Metrics

Actual Security: 70,04 ravs

OSSTMM version 3.0

www.stetspa.it

Esempio analisi puntuale dei siti (1/2)

www.stetspa.it

Esempio analisi puntuale dei siti (2/2)

www.stetspa.it

Conclusioni

www.stetspa.it

Conclusioni

L’obiettivo nel breve medio termine è proseguire con gli investimenti nella sicurezza ICT.

Durante l’anno 2015, al termine di un percorso che ha visto l’impegno di tutti i settori aziendali nell’avvicinarsi agli standard desiderabili sopra esposti, verrà pianificato un nuovo Vulnerability Assessment - Penetration Test per evidenziare il delta.

Sempre durante il 2015 parte degli investimenti interesseranno anche un nuovo progetto di Business Continuity e Disaster Recovery.

www.stetspa.it

Riferimenti

• http://www.stetspa.it

• http://it.wikipedia.org/wiki/Infrastrutture_critiche

• http://www.isecom.org/research/osstmm.html

• http://attivissimo.blogspot.it/2014/08/trovare-le-chiavi-sotto-lo-zerbino-con.html

www.stetspa.it

Grazie per l’attenzione!

Tiziano Sartori

Responsabile Servizi ICT - STET S.p.A.

TSartori@stetspa.it

it.linkedin.com/in/tizianosartori/